Procedura uznania
Art. 67b znowelizowanej ustawy o KSC wprowadza instytucję dostawcy wysokiego ryzyka. Postępowanie wszczyna minister właściwy ds. informatyzacji z urzędu albo na wniosek przewodniczącego Kolegium ds. Cyberbezpieczeństwa (art. 67b ust. 1 KSC). Przed wydaniem decyzji minister zasięga opinii Kolegium (art. 67b ust. 10), a samą decyzję o uznaniu dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka wydaje na podstawie art. 67b ust. 15. Decyzja ta podlega natychmiastowemu wykonaniu (ust. 18) i ogłoszeniu w Monitorze Polskim (ust. 17); skarga do sądu administracyjnego rozpoznawana jest na posiedzeniu niejawnym w składzie 3 sędziów (art. 67e ust. 1 KSC).
Kryteria oceny
Przy ocenie, czy dostawca stanowi wysokie ryzyko, minister bierze pod uwagę szereg czynników związanych zarówno z samym dostawcą, jak i z państwem trzecim, z którego dostawca pochodzi. Ocena ma charakter kompleksowy i uwzględnia aspekty techniczne, prawne oraz geopolityczne.
- Zagrożenia dla bezpieczeństwa narodowego wynikające ze stosowania produktów dostawcy
- Prawdopodobieństwo wpływu państwa trzeciego na dostawcę (np. obowiązek współpracy z wywiadem)
- Struktura własnościowa dostawcy i powiązania z rządem państwa trzeciego
- Zdolność państwa trzeciego do ingerencji w łańcuch dostaw dostawcy
- Historia znanych podatności i incydentów w produktach dostawcy
- Posiadane certyfikaty bezpieczeństwa i wyniki audytów
- Dotychczasowa współpraca dostawcy z organami cyberbezpieczeństwa UE
Obowiązki po wydaniu decyzji
Po wydaniu decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka podmioty kluczowe i ważne mają obowiązek podjęcia działań ograniczających zależność od produktów tego dostawcy w ramach bezpieczeństwa łańcucha dostaw. Zakres obowiązków zależy od tego, czy produkty są wykorzystywane w funkcjach krytycznych dla bezpieczeństwa sieci i systemów informacyjnych.
| Obowiązek | Termin | Dotyczy |
|---|---|---|
| Zakaz wprowadzania nowych produktów dostawcy | Od dnia wydania decyzji | Podmioty kluczowe i ważne z wyłączeniem podsektora komunikacji elektronicznej (art. 67b ust. 1 pkt 1) |
| Wycofanie produktów dostawcy — sprawdź terminy wdrożenia KSC | 7 lat od dnia ogłoszenia decyzji w Monitorze Polskim (art. 67c ust. 1 pkt 2) | Podmioty kluczowe i ważne z wyłączeniem podsektora komunikacji elektronicznej (art. 67b ust. 1 pkt 1) |
| Wycofanie z funkcji krytycznych (zał. 3) | 4 lata od dnia ogłoszenia decyzji w Monitorze Polskim (art. 67c ust. 2) | Przedsiębiorcy komunikacji elektronicznej z rocznym przychodem z tej działalności > 10 mln zł (art. 67b ust. 1 pkt 2) |
Jak się przygotować
Nawet jeśli obecnie żaden dostawca nie został uznany za dostawcę wysokiego ryzyka, organizacje powinny zawczasu przygotować się na taką ewentualność. Kluczowe jest zapewnienie niezależności systemów informacyjnych i unikanie uzależnienia od jednego dostawcy w obszarach krytycznych dla cyberbezpieczeństwa.
- Przeprowadź inwentaryzację dostawców sprzętu i oprogramowania w obszarach krytycznych.
- Zidentyfikuj zależności od dostawców z państw trzecich spoza UE/NATO.
- Opracuj plany migracji dla produktów dostawców o podwyższonym ryzyku.
- Uwzględnij klauzule dotyczące dostawcy wysokiego ryzyka w nowych umowach.
- Monitoruj komunikaty Ministerstwa Cyfryzacji dotyczące postępowań w sprawie dostawców.